Anlage 4_Teleservicevereinbarung.docx

Teleservicevereinbarung im Rahmen der

„xyz“

Inhaltsverzeichnis

1 Allgemeines i

2 Zweck i

3 Ausgangssituation i

4 Vorgaben i

4.1 Technische Einrichtung des Fernwartungszugang i

4.2 Befugter Personenkreis ii

4.3 Protokollierung ii

4.4 Datenzugriffe ii

4.5 Trennung der Datenübertragung vom Fernwartungszugriff ii

4.6 Geltende Gesetze ii

Allgemeines

Die Teleservicevereinbarung wird geschlossen zwischen dem Auftraggeber

Universitätsklinikum Aachen AöR, Pauwelsstr. 30, 52074 Aachen

im Folgenden UKA genannt, und

dem Auftragnehmer: Name, Adresse,

im Folgenden Auftragnehmer genannt.

Zweck

Die Teleservicevereinbarung regelt die technischen Voraussetzungen sowie die Verfahrensweisen, unter denen der Auftragnehmer Teleserviceleistungen für das UKA im Rahmen der geschlossenen Verträge (Auftragsverarbeitungsvertrag, EVB-IT-Vertrag) erbringt.

Ausgangssituation

Der Auftragnehmer wartet und leistet Support im Rahmen des Betriebs der erforderlichen, von dem Hersteller, bereitgestellten Softwareprodukte. Dabei ist es erforderlich, dass Mitarbeiter der Auftragnehmer über Fernwartungszugänge auf die in den Räumen des Rechenzentrums des UKA laufenden Komponenten der Software zugreifen.

Pflege und Wartung des Produktes sowie aller benötigen Komponenten erfolgt nach vorheriger Absprache und Risikobewertung durch die zuständigen Mitarbeiter des Geschäftsbereiches-IT.

Vorgaben

Technische Einrichtung des Fernwartungszugang

Der Auftragnehmer verpflichtet sich die Fernwartung nur über gesicherte und verschlüsselte Verbindungen durchzuführen. Das Verfahren ist zwischen Auftragnehmer und Auftraggeber abzustimmen.

Befugter Personenkreis

Der Kreis des autorisierten Wartungspersonals des Auftragnehmers ist festzulegen.

Diese Personen sind auf das Datengeheimnis nach § 41 DSG NW sowie auf die Einhaltung der Verschwiegenheitsvorschriften zu verpflichten und vom Auftragnehmer datenschutzrechtlich zu unterweisen.

Name und Telefonnummer dieser Mitarbeiter müssen dem UKA, auf Anforderung mitgeteilt werden. Unterauftragnehmer, die für den Auftragnehmer Wartungen durchführen sind über entsprechende vertragliche Regelungen dem Auftraggeber bekanntzumachen und unterliegen denselben Bestimmungen.

Protokollierung

Die von den Mitarbeitern des Auftragnehmers durchgeführten Fernwartungszugriffe sind durch den Auftragnehmer zu protokollieren. Die Zugriffsprotokolle sind dem UKA auf Anfrage zu übergeben.

Datenzugriffe

Der Auftragnehmer verpflichtet sich, keinen unzulässigen Downloads von Daten aus dem zu wartenden Rechnersystem vorzunehmen.

Der Auftragnehmer verpflichtet sich ebenfalls, alle Daten, die im Rahmen der Fernwartungstätigkeit bekannt werden, nicht weiterzugeben und ausschließlich zum Zwecke der Fernwartung zu nutzen. Wurden personenbezogene Daten bei der Fernwartung übertragen, so sind diese ebenso wie alle nicht zur Dokumentation notwendigen Daten nach Abschluss der Wartungsarbeiten oder der Fehlersuche unverzüglich zu vernichten.

Eine Kenntnisnahme personenbezogener Daten ist zu verhindern oder, wenn dies nicht möglich ist, auf ein absolutes Minimum zu beschränken.

Trennung der Datenübertragung vom Fernwartungszugriff

Grundsätzlich erfolgt der Fernwartungszugriff über die vom UKA bereitgestellte Citrix Umgebung, über die der Anbieter KVM-Funktionalitäten erhält. Die Datenübertragung auf gleichem Wege technisch unterbunden. Sollen Updates o. ä. eingespielt werden oder Analysedaten übertragen werden, so geht das über einen getrennten Kanal, etwa über einen SFTP-Server.

Durch diese Vorgehensweise ist das UKA in der Lage Software auf Schadcode zu prüfen. Die Datenübertragung an den Hersteller ist nach Rücksprache an einer Stelle abzulegen, auf die das UKA den Download dann nachlaufend zulässt.

Geltende Gesetze

Es gelten die Vorgaben der europäischen Datenschutz-Grundverordnung (EU DSGVO). Es ist das Datenschutzgesetz des Landes Nordrhein-Westfalen (DSG NW) zu berücksichtigen.

Auftragsdatenverarbeitungsvertrag (AV-Vertrag)

Zwischen Auftragnehmer und Auftraggeber ist ein AV-Vertrag abzuschließen.